❓ Datensicherheit in rheinland-pfälzischen Krankenhäusern

Die Anfrage behandelt Sicherheitsvorfälle in Krankenhäusern Rheinland-Pfalz, die sich durch Cyberangriffe auf externe Dienstleister ereignet haben. Der konkrete Anlass sind Cyberangriffe auf den Abrechnungsdienstleister "Unimed", bei dem sensible Patientendaten gestohlen wurden. Allein an der Universitätsklinik Mainz waren fast 2800 Patienten betroffen. Die Anfrage zielt darauf ab, dass die Landesregierung über das Ausmaß dieser Vorfälle berichtet und ihre Gegenmaßnahmen darlegt.

Krankenhäuser in Rheinland-Pfalz, insbesondere die Universitätsmedizin Mainz; betroffene Patienten (etwa 2800 Patienten allein an der Universitätsklinik Mainz); externe Abrechnungsdienstleister wie "Unimed" (Abrechnungsservice für Kliniken und Chefärzte GmbH mit Sitz im Saarland).

Die Kleine Anfrage stellt sechs konkrete Fragen: (1) In wie vielen Krankenhäusern Rheinland-Pfalz kam es 2024-2026 zu Cyberangriffen und wie viele Patienten waren jeweils betroffen? (2) Welche Erkenntnisse liegen über die Ursachen der Sicherheitslücke bei "Unimed" vor? (3) Wann erfuhr die Landesregierung erstmals vom Datendiebstahl im Zusammenhang mit Unimed? (4) Welche Sicherheitsverpflichtungen gelten für die Kooperation mit externen Dienstleistern? (5) Kam es zu Verletzungen dieser Pflichten? (6) Welche Maßnahmen plant die Landesregierung zum Schutz betroffener Patienten und zur Vermeidung zukünftiger Datendiebstähle?

Das Dokument enthält die Antwort der Landesregierung (Ministerium für Wissenschaft, Weiterbildung und Gesundheit) vom 19.06.2026: (1) Krankenhäuser verzeichnen täglich Cyberangriffe, die automatisiert erkannt und abgewehrt werden; aktuelle Berichte über Patientendatenverluste liegen der Landesregierung nicht vor. (2) Unimed ist eine eigenständige Gesellschaft im Saarland; die genauen Umstände sind Gegenstand laufender Ermittlungen und werden nicht veröffentlicht. (3) Die Landesregierung wurde am 22.05.2026 durch die Universitätsmedizin Mainz informiert; zuvor Mitte April 2026 erfuhr die Universitätsmedizin vom Angriff, ohne zunächst zu wissen, ob rheinland-pfälzische Patienten betroffen sind. (4-5) Dienstleister unterliegen der Datenschutz-Grundverordnung (DSGVO); Krankenhäuser müssen prüfen, ob ausreichende technische und organisatorische Maßnahmen umgesetzt sind (Zugriffskontrollen, Verschlüsselung, Berechtigungskonzepte). Konkrete Informationen zu Pflichtverletzungen liegen nicht vor. (6) Die Landesregierung verweist auf umfangreiche Vorgaben des europäischen und deutschen Datenschutz- und IT-Sicherheitsrechts für private Dienstleister.